证书服务（三）生成带有SAN扩展的证书

四：openssl生成证书

1.模拟CA

1.1.生成CA根证书私钥，根据你实际需要去生成
有密码：openssl genrsa -des3 -out rootCA.key 4096
无密码：openssl genrsa -out rootCA.key 4096
1.2.生成根证书签名请求文件
openssl req -new -key rootCA.key -out rootCA.csr
1.3.生成CA自签证书
可以用key生成：openssl req -new -x509 -key rootCA.key -out rootCA.crt -days 3650 

也可以用csr文件：openssl req -new -x509 -key rootCA.csr -out rootCA.crt -days 3650

1.4.如果1.1生成了有密码的私钥，也有办法去掉key密码
openssl rsa -in rootCA.key -out rootCA_unpass.key.unsecure

1.5如果想自动化输入证书信息，可以用-subj

openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=HeNan/L=ZhengZhou/O=JACKADAM/OU=jack/CN=ca.jackadam.ml/emailAddress=jackadam@sina.com"

openssl req -new -x509 -key rootCA.key -out rootCA.crt -days 3650  -subj "/C=CN/ST=HeNan/L=ZhengZhou/O=JACKADAM/OU=jack/CN=ca.jackadam.ml/emailAddress=jackadam@sina.com"

2.生成服务器证书

2.1生成服务器私钥

openssl genrsa -out server.key 4096

2.2生成服务器签名请求

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=HeNan/L=ZhengZhou/O=JACKADAM/OU=jack/CN=server.jackadam.ml/emailAddress=jackadam@sina.com"

2.3用CA签名

openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 3650

3.生成客户端证书

3.1生成服务器私钥

openssl genrsa -out client.key 4096

3.2生成服务器签名请求

openssl req -new -key client.key -out client.csr -subj "/C=CN/ST=HeNan/L=ZhengZhou/O=JACKADAM/OU=jack/CN=client.jackadam.ml/emailAddress=jackadam@sina.com"

3.3用CA签名

openssl x509 -req -in client.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out client.crt -days 3650

4.查看证书

五：NGINX配置证书

1.docker运行nginx

docker-compose:

version: '3.5'

services:
    nginx:
        image: nginx
        container_name: nginx
        restart: always
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - ./templates:/etc/nginx/templates
            - ./cert:/etc/nginx/cert
        privileged: true
        network_mode: "bridge"
        environment:
           - NGINX_HOST=server.jackadam.ml
           - NGINX_PORT=80

./templates/example.conf.template

server {
    # 服务器端口使用443，开启ssl, 这里ssl就是上面安装的ssl模块
    listen       443 ssl;
    # 域名，多个以空格分开
    server_name  server.jackadam.ml;

    # ssl证书地址
    ssl_certificate    /etc/nginx/cert/server.crt;  # pem文件的路径
    ssl_certificate_key  /etc/nginx/cert/server.key; # key文件的路径

    # ssl验证相关配置
    ssl_session_timeout  5m;    #缓存有效期
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;    #加密算法
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;    #安全链接可选的加密协议
    ssl_prefer_server_ciphers on;   #使用服务器端的首选算法

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }
}

cert目录：

2.尝试HTTP方式进行IP访问

3.尝试HTTPS方式进行IP访问

 需要安装CA证书，才能验证，

4.安装CA证书

将rootCA.crt复制到本地电脑，双击即可安装。

5.还有问题

chrome中F12即可看到错误信息

 缺少Subject Alternative Name(SAN)

6.尝试域名访问

六：SAN证书

1.什么是san证书

SAN(Subject Alternative Name) 是 SSL 标准 x509 中定义的一个扩展。使用了 SAN 字段的 SSL 证书，可以扩展此证书支持的域名，使得一个证书可以支持多个不同域名的解析。

 现在都SAN了，看来我们自己生成证书缺少这一项，所以在现在安全条件下，被认为不安全了。

2.生成带SAN扩展的证书请求文件

openssl req -new -sha256 -key server.key \
    -subj "/C=CN/ST=HeNan/L=ZhengZhou/O=JACKADAM/OU=jack/CN=server.jackadam.ml/emailAddress=jackadam@sina.com" \
    -extensions v3_req \
    -config <(cat /etc/pki/tls/openssl.cnf \
        <(printf "[req]\nreq_extensions = req_ext\n[req_ext]\nsubjectAltName=DNS:server.jackadam.ml")) \
    -out SANserver.csr 

查看两个证书请求的区别：

    openssl req -noout -text -in server.csr
    openssl req -noout -text -in SANserver.csr

3.签名证书

openssl ca -in SANserver.csr \
    -policy policy_anything \
    -cert  rootCA.crt \
    -keyfile rootCA.key \
    -batch \
    -extensions SAN \
    -config <(cat /etc/pki/tls/openssl.cnf \
        <(printf "[SAN]\nsubjectAltName=DNS:server.jackadam.ml")) \
    -out ./SANserver.crt

openssl，说是不从请求中获取SAN扩展，还得手动配置，为了安全？

不过我从windowsCA服务器中，用请求文件签发证书，是会包含请求中的SAN扩展。

4.查看SAN证书

openssl x509 -text -noout -in SANserver.crt

5.更新nginx证书

 有了使用者可选名称，这个证书就算是合格的证书了。